CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-13966
https://notcve.org/view.php?id=CVE-2019-13966
In iTop through 2.6.0, an XSS payload can be delivered in certain fields (such as icon) of the XML file used to build the dashboard. This is similar to CVE-2015-6544 (which is only about the dashboard title). En iTop versiones hasta 2.6.0, puede ser entregada una carga útil de tipo XSS en determinados campos (tal y como el icono) del archivo XML usado para construir el panel. Esto es similar a CVE-2015-6544 (que es solo sobre el título del panel). • https://0day.love/itop_vulnerabilities_disclosure.pdf https://www.itophub.io/wiki/page?id=latest%3Arelease%3Achange_log • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-13965
https://notcve.org/view.php?id=CVE-2019-13965
Because of a lack of sanitization around error messages, multiple Reflective XSS issues exist in iTop through 2.6.0 via the param_file parameter to webservices/export.php, webservices/cron.php, or env-production/itop-backup/backup.php. By default, any XSS sent to the administrator can be transformed to remote command execution because of CVE-2018-10642 (still working through 2.6.0) The Reflective XSS can also become a stored XSS within the same account because of another vulnerability. Debido a la falta de saneamiento en torno a los mensajes de error, se presentan múltiples problemas de tipo XSS Reflexivo en iTop versiones hasta 2.6.0, por medio del parámetro param_file en el archivo webservices/export.php, o env-production/itop-backup/backup.php. Por defecto, cualquier ataque de tipo XSS enviado al administrador puede transformarse en una ejecución de comando remoto debido a CVE-2018-10642 (aún funciona hasta la versión 2.6.0). El XSS Reflexivo también puede convertirse en un ataque de tipo XSS Almacenado dentro de la misma cuenta debido a otra vulnerabilidad. • https://0day.love/itop_vulnerabilities_disclosure.pdf https://www.itophub.io/wiki/page?id=latest%3Arelease%3Achange_log • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 1CVE-2018-10642
https://notcve.org/view.php?id=CVE-2018-10642
Command injection vulnerability in Combodo iTop 2.4.1 allows remote authenticated administrators to execute arbitrary commands by changing the platform configuration, because web/env-production/itop-config/config.php contains a function called TestConfig() that calls the vulnerable function eval(). Vulnerabilidad de inyección de comandos en Combodo iTop 2.4.1 permite que administradores remotos autenticados ejecuten comandos arbitrarios cambiando la configuración de la plataforma, ya que web/env-production/itop-config/config.php contiene una función llamada TestConfig() que llama a la función vulnerable eval(). • https://github.com/arbahayoub/POC/blob/master/itop_command_injection_1.txt https://sourceforge.net/p/itop/tickets/1585 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2015-6544 – iTop 2.1.0-2127 Cross Site Scripting
https://notcve.org/view.php?id=CVE-2015-6544
Cross-site scripting (XSS) vulnerability in application/dashboard.class.inc.php in Combodo iTop before 2.2.0-2459 allows remote attackers to inject arbitrary web script or HTML via a dashboard title. Vulnerabilidad de Cross-Site Scripting (XSS) en application/dashboard.class.inc.php en Combodo iTop en versiones anteriores a la 2.2.0-2459 permite que atacantes remotos inyecten scripts web o HTML arbitrarios mediante un título de dashboard. iTop version 2.1.0-2127 suffers from a cross site scripting vulnerability. • http://sourceforge.net/p/itop/code/3662 http://sourceforge.net/p/itop/tickets/1114 https://www.htbridge.com/advisory/HTB23268 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 0%CPEs: 24EXPL: 0CVE-2013-0805
https://notcve.org/view.php?id=CVE-2013-0805
Multiple cross-site scripting (XSS) vulnerabilities in the search feature in iTop (aka IT Operations Portal) 2.0, 1.2.1, 1.2, and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) text parameter to pages/UI.php or (2) expression parameter to pages/run_query.php. NOTE: some of these details are obtained from third party information. Múltiples vulnerabilidades de XSS en la funcionalidad de búsqueda en iTop (también conocido como IT Operations Portal) 2.0, 1.2.1, 1.2 y anteriores permiten a atacantes remotos inyectar script Web o HTML arbitrarios a través del (1) parámetro text hacia pages/UI.php o (2) parámetro expression hacia pages/run_query.php. NOTA: algunos de estos detalles se obtiene de información de terceras partes. • http://archives.neohapsis.com/archives/fulldisclosure/2013-01/0208.html http://osvdb.org/89574 http://packetstormsecurity.com/files/119767/iTop-Cross-Site-Scripting.html http://seclists.org/bugtraq/2013/Jan/102 http://secunia.com/advisories/51702 https://exchange.xforce.ibmcloud.com/vulnerabilities/81498 https://www.csnc.ch/misc/files/advisories/CVE-2013-0805.txt • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •